OpenCode — ochiq kodli sunʻiy intellekt (SI) kodlash agenti; u Claude Code va Cursorʻga muqobil sifatida ishlab chiquvchilar orasida keng tanilgan. Kompaniya 17-oktabr, shanba kuni onlayn platformasi OpenCode Consoleʻning eski tizimiga tunda hujum uyushtirilganini maʻlum qildi — hujum oʻsha kunga oʻtar kechasi sodir boʻlgan, eʻlon esa shu kunning oʻzida berilgan. Hujum natijasida platforma foydalanuvchilarining 1,4%i zarar koʻrgan — ularning uchinchi tomon API kalitlari oshkor boʻlgan. Voqea haqidagi batafsil maʻlumot 19-oktabr kuni TechCrunchʻda chop etilgan maqola orqali keng tarqaldi.
Hodisa qanday yuz berdi
Kompaniya Xʻdagi bayonotida hodisani keng koʻlamli distillatsiya hujumi (distillation attack) bilan bogʻliq xavfsizlik buzilishi sifatida taʻrifladi va rasmiy bayonotida aynan shu taʻrifdan foydalandi. Taʻsirlangan foydalanuvchilarning barchasi elektron pochta orqali xabardor qilingan; xat olmaganlar hujumdan taʻsirlanmagan, deya qoʻshimcha qildi kompaniya.
“Kecha tunda keng koʻlamli distillatsiya hujumi bilan bogʻliq xavfsizlik buzilishi yuz berdi; bu OpenCode Console foydalanuvchilarining 1,4%iga taʻsir qildi. Ularning barchasini bugun ertalab elektron pochta orqali xabardor qildik.”
— OpenCodeʻning Xʻdagi bayonotidan (TechCrunch iqtibosi)
Distillatsiya hujumi — model chiqishlarini katta hajmda toʻplash orqali boshqa modelni oʻrgatish usuli; kompaniya aynan shu maqsadda hujum uyushtirilganini bildirdi. Bildirishnoma tartibi oddiy boʻldi: pochta xabari kelgan foydalanuvchi taʻsirlanganlar roʻyxatida, kelmagani esa xavfsiz hisoblanadi.
Qaysi kalitlar oshkor boʻldi
Oshkor boʻlgan maʻlumotlar — foydalanuvchilar OpenCode Console ish maydonlarida saqlagan uchinchi tomon API kalitlari. API kaliti — provayder xizmatlariga kirish huquqini beruvchi maxfiy satr; u begona qoʻlga tushsa, hisob egasining nomidan toʻlovli soʻrovlar yuborish mumkin boʻladi. Bu kalitlar OpenAI, Anthropic va Google kabi tashqi SI provayderlarning xizmatlariga kirish imkonini beradi. Kompaniya hammuassisi Dax Raadning soʻzlariga koʻra, ochiq kodli ilova va buyruq qatori vositasi hujumdan taʻsirlanmagan — mahalliy kalitlar foydalanuvchilarning oʻz qurilmalarida qolgan va ularga tashqaridan kirish imkoni boʻlmagan.
Shu tariqa zarar faqat onlayn platforma doirasida qolgan: Consoleʻda kalit saqlamagan foydalanuvchilarga hujumning bevosita taʻsiri kuzatilmagan. Biroq kalitlari oshkor boʻlganlar uchun xavf jiddiy — begona shaxslar shu kalitlar orqali provayder hisoblaridan foydalanib, katta miqdorda xarajat keltirib chiqargan.
Noqonuniy xarajatlar va provayderlar javobi
Ishlab chiquvchilar oʻz hisoblarida ruxsatsiz xarajatlarni qayd eta boshladi: ayrim hisoblarda yuzlab dollar, baʻzilarida esa 1 000 dollardan ortiq mablagʻ sarflangani aniqlandi. Bu raqamlar hujumchilar oshkor boʻlgan kalitlardan faol foydalanganini koʻrsatadi — xarajatlar kalit egalarining oʻz faoliyati bilan bogʻliq boʻlmagan.
Anthropic va Google oshkor boʻlgan deb hisoblangan API kalitlarini blokladi va shu orqali keyingi suiisteʻmolning oldini olishga urindi — bloklangan kalit orqali keyingi soʻrovlar oʻtkazilmaydi, shu tariqa qoʻshimcha xarajatlarning oldi olinadi. OpenAI esa boshqa yoʻl tutdi: u OpenCode bilan hamkorlikda kirishni tiklash va hujumda ishlatilgan kreditlar uchun API mijozlariga toʻlovlarni qaytarish ustida ishlamoqda. Kalitlarni bloklash va toʻlovlarni qaytarish — hodisadan keyingi birinchi amaliy choralar boʻldi.
48 soatlik bosim: himoya vositalari ham ishlamadi
Raadning aytishicha, hujumchilar OpenCode tizimlariga kirishga 48 soat davomida tinimsiz urinishgan — ikki sutkalik uzluksiz bosim jamoani himoya holatida uzluksiz ushlab turgan. Vaziyatni murakkablashtirgan jihat shundaki, jamoa ishga tushirgan himoya SI agentlari zararli kodni tahlil qilishdan bosh torta boshlagan: xavfsizlik filtrlari ishga tushganda agentlar tahlilni davom ettira olmagan.
Keyinchalik kompaniya OpenAIʻning Daybreak Blue dasturiga kirish huquqini oldi. Bu dastur tasdiqlangan himoya xavfsizlik ishlari uchun xavfsizlik cheklovlari kamaytirilgan modellardan foydalanish imkonini beradi — yaʻni himoya maqsadidagi tahlillarni cheklovlarsiz bajarish mumkin boʻladi. Kompaniya shu kirish orqali hujumni tekshirish imkoniyati yaxshilanganini bildirdi.
Hodisa hali davom etmoqda
Kompaniya taʻsirlangan foydalanuvchilarga har bir provayder orqali kalitlarni bekor qilib, yangilariga almashtirishni va soʻnggi foydalanish tarixini tekshirishni aytdi. Bu — kalitlar yana ishlatilishining oldini olish uchun hozircha yagona amaliy yoʻl sifatida koʻrsatilgan chora. Hodisa eʻlon qilingan paytda ham davom etayotgan edi.
OpenCode hujumchilar eski tizimga qanday kirgani va suiisteʻmolning toʻliq koʻlami haqida maʻlumot oshkor qilmagan — bu ikki savol hozircha ochiq qolmoqda. Bu ikki savol boʻyicha kompaniya hozircha qoʻshimcha maʻlumot eʻlon qilmagan; rasmiy manba sifatida kompaniyaning oʻz bayonotlari va OpenCode rasmiy sayti koʻrsatilmoqda.
